add the main file structure requirements

q1-security-audit /security-checklist.md

@@ -0,0 +1,120 @@
+# قائمة تدقيق أمني لتطبيق على منصة غيمة (ghaymah.systems)
+
+## قائمة من 15 بنداً للتدقيق الأمني
+
+| # | البند | الفئة | الأولوية |
+|---|-------|-------|----------|
+| 1 | التحقق من تفعيل شهادة SSL التلقائية من غيمة | Data | عالية |
+| 2 | تشفير البيانات في PostgreSQL المُدارة (Encryption at Rest) | Data | عالية |
+| 3 | تشفير اتصالات Redis/Valkey | Data | متوسطة |
+| 4 | مراجعة صلاحيات الوصول للـ Git Repository المرتبط بالنشر | IAM | عالية |
+| 5 | تفعيل MFA على حساب غيمة (deploy.ghaymah.systems) | IAM | عالية |
+| 6 | فحص Docker Images المستخدمة من الثغرات (Trivy/Snyk) | Container Security | عالية |
+| 7 | عدم تشغيل الحاويات بصلاحيات root | Container Security | عالية |
+| 8 | تقييد المنافذ المفتوحة (فقط 80/443) | Network | عالية |
+| 9 | تكوين Network Policies بين الخدمات | Network | متوسطة |
+| 10 | الحماية من SQL Injection | OWASP | عالية |
+| 11 | الحماية من XSS وتفعيل CSP Headers | OWASP | عالية |
+| 12 | تفعيل Rate Limiting على APIs | OWASP | عالية |
+| 13 | إخفاء Server Headers (X-Powered-By) | OWASP | متوسطة |
+| 14 | التحقق من تفعيل النسخ الاحتياطي التلقائي | Data | عالية |
+| 15 | مراجعة سجلات المراقبة والتنبيهات | Data | متوسطة |
+
+---
+
+## شرح تطبيق كل بند على منصة غيمة تحديداً
+
+### 1. SSL التلقائية
+غيمة توفر شهادة SSL تلقائية لجميع الخطط. للتحقق:
+- تأكد من أن الدومين يعمل على HTTPS فقط
+- أضف redirect من HTTP إلى HTTPS
+- تحقق من صلاحية الشهادة عبر المتصفح
+
+### 2. PostgreSQL المُدارة
+- تفعيل خيار "اتصالات مشفّرة" في إعدادات قاعدة البيانات
+- استخدام SSL mode في connection string:
+```
+postgresql://user:pass@host:5432/db?sslmode=require
+```
+
+### 3. Redis/Valkey
+- استخدام الاتصال المشفر الافتراضي من غيمة
+- التأكد من أن Redis غير مكشوف للإنترنت
+
+### 4. Git Repository
+- مراجعة من لديه صلاحية push على الـ repo
+- تفعيل branch protection على main/master
+- استخدام deploy keys بدلاً من personal tokens
+
+### 5. MFA
+- تفعيله من إعدادات حساب غيمة
+- استخدام تطبيق authenticator (Google/Microsoft)
+
+### 6. Container Scanning
+إضافة في CI/CD pipeline:
+```yaml
+- name: Scan image
+  run: trivy image myapp:latest --severity HIGH,CRITICAL
+```
+
+### 7. Non-root Containers
+في Dockerfile:
+```dockerfile
+USER nonroot:nonroot
+# أو
+USER 1000:1000
+```
+
+### 8. المنافذ
+- غيمة تدير هذا تلقائياً
+- تأكد من عدم expose منافذ إضافية في Dockerfile
+- لا تستخدم `EXPOSE` لمنافذ حساسة
+
+### 9. Network Policies
+- فصل PostgreSQL عن الإنترنت العام (internal only)
+- السماح فقط للـ backend بالوصول لقاعدة البيانات
+
+### 10. SQL Injection
+- استخدام ORM (Prisma, Sequelize, SQLAlchemy)
+- أو Prepared Statements:
+```javascript
+db.query('SELECT * FROM users WHERE id = $1', [userId])
+```
+
+### 11. XSS/CSP
+إضافة headers في التطبيق:
+```javascript
+app.use(helmet({
+  contentSecurityPolicy: {
+    directives: {
+      defaultSrc: ["'self'"],
+      scriptSrc: ["'self'"]
+    }
+  }
+}));
+```
+
+### 12. Rate Limiting
+```javascript
+const rateLimit = require('express-rate-limit');
+app.use('/api/login', rateLimit({
+  windowMs: 15 * 60 * 1000,
+  max: 5
+}));
+```
+
+### 13. Server Headers
+```javascript
+app.disable('x-powered-by');
+// أو استخدام helmet
+app.use(helmet.hidePoweredBy());
+```
+
+### 14. النسخ الاحتياطي
+- خطة g4.medium: نسخ يومي
+- خطة g5.large: نسخ كل ساعة
+- تحقق من إعدادات النسخ في لوحة التحكم
+
+### 15. المراقبة
+- استخدام أدوات الذكاء الاصطناعي والمراقبة المتوفرة في غيمة
+- إعداد تنبيهات للأحداث المشبوهة